01Was wir wissen, bevor es losgeht.
Oma Li ist 64 Jahre alt und wohnt in Shenzhen. Im März stand sie in der Schlange vor Tencents Zentrale. Ein freundlicher Ingenieur hat ihr in drei Minuten OpenClaw auf den Laptop installiert und mit WeChat verbunden. Seitdem läuft der Laptop zuhause durch. Über WeChat kann sie ihn steuern: Erinnerungen setzen, Dokumente sortieren, E-Mails checken.
Sie weiß nicht, dass ihr Laptop jetzt rund um die Uhr erreichbar ist, und auch nicht, was ein CVECVE — Common Vulnerabilities and ExposuresÖffentlich registrierte Sicherheitslücke in Software, bewertet nach CVSS-Score. Score 9–10 gilt als kritisch. ist. Dass 12 % der Skills im offiziellen OpenClaw-Marktplatz Malware waren, ist ihr ebenfalls unbekannt. Mit dem Lobster hat sie keine schlechten Erfahrungen gemacht, er funktioniert.
Hier setzt das Szenario an.
Der Angriff — Schritt für SchrittJemand lädt auf ClawHubClawHubDer offizielle Skill-Marktplatz von OpenClaw. Jeder kann dort Erweiterungen hochladen. Die einzige Hürde ist ein mindestens eine Woche alter GitHub-Account. einen neuen Skill hoch. Er heißt „WeChat-Assistent Pro". Er verspricht, WeChat-Nachrichten zu sortieren, Zahlungserinnerungen zu setzen und Termine aus WeChat in den Kalender zu übertragen.
Das klingt nach genau dem, wofür Oma Li und Millionen andere ihren Lobster nutzen. Der Skill verbreitet sich in chinesischen OpenClaw-Gruppen auf WeChat. Echte Nutzer empfehlen ihn, weil sie ihn für legitim halten.
Der Skill verhält sich unauffällig. Er tut, was er verspricht: sortiert Nachrichten, setzt Erinnerungen. Niemand beschwert sich. Die Bewertungen sind gut, die Downloads steigen.
Im Hintergrund aber liest der Skill still mit: die WeChat-Kontaktliste. Dokumente auf dem Desktop. Die Konfigurationsdatei von OpenClaw, in der die Zugangsdaten für verknüpfte Dienste gespeichert sind. Und auf vielen Geräten: die WeChat Pay-Verknüpfung.
OpenClaw hat ein dauerhaftes Gedächtnis. Was der Agent einmal gelesen hat, bleibt gespeichert und steht beim nächsten Start sofort wieder zur Verfügung. Bösartige Anweisungen, die einmal im Gedächtnis landen, können Wochen später ausgelöst werden.
Oma Li liegt noch im Bett und schaut auf ihr Handy. WeChat, wie jeden Morgen. Eine Nachricht von der Tochter. Eine vom Supermarkt. Alles normal.
Auf ihrem Laptop im Wohnzimmer läuft OpenClaw durch. Der Skill „WeChat-Assistent Pro" erhält um 6:47 Uhr ein Signal von seinem Command-and-Control-ServerCommand-and-Control-Server (C2)Ein vom Angreifer kontrollierter Server, der Befehle an infizierte Geräte schickt. Die infizierten Geräte führen diese Befehle aus, ohne dass der Nutzer es merkt.. Ein Eingriff der Nutzerin ist nicht nötig, denn OpenClaw ist dafür gebaut, autonom zu handeln.
Das passiert gleichzeitig auf allen Geräten, auf denen der Skill installiert ist, nicht nur auf Oma Lis Laptop. Was er sammelt und überträgt, ist aus realen Angriffen bekannt:
Auf einem mit WeChat verbundenen Gerät kommen dazu: die WeChat-Konfiguration, verknüpfte WeChat Pay-Daten, und die vollständige Kontaktliste, die Grundlage für Schritt 5.
Wichtige technische Klarstellung vorab: ClawBot selbst ist bewusst begrenzt. Es kann keine Nachrichten in Oma Lis Namen an andere Kontakte senden, keine WeChat-Chatverläufe lesen, und keine Nachrichten eigenständig pushen. Tencent hat diese Grenzen bewusst gezogen.
Was der Angriff aber geliefert hat, ist wertvoller als jede Nachricht: die WeChat Pay-Zugangsdaten aus Oma Lis OpenClaw-Konfigurationsdatei. Den vollständigen Kontaktbaum: Namen, Nummern, Beziehungen. Und das OpenClaw-Gedächtnis: Schreibstil, Gewohnheiten, Tagesablauf.
Der Angreifer braucht ClawBot nicht, um Schaden anzurichten. Er nutzt die gestohlenen Zugangsdaten extern: loggt sich über andere Wege in WeChat Pay ein, oder verkauft das Datenpaket weiter. Und er nutzt die Kontaktliste für klassischen Betrug: Er schreibt Oma Lis Tochter (über einen gefälschten Account, nicht über OpenClaw) und kennt durch das gestohlene Gedächtnis genau, wie Oma Li schreibt.
„Mama, ich stecke gerade in einer Notlage. Mein Handy ist kaputt, ich schreibe vom Laptop. Kannst du bitte sofort 3.000 Yuan über WeChat Pay überweisen?"
Die Nachricht klingt genau richtig. OpenClaw hat dem Angreifer alle Informationen geliefert, die er braucht, um sie perfekt zu fälschen.
ClawBot kann keine WeChat-Chatverläufe löschen. Das hat Tencent technisch verhindert. Was OpenClaw aber kann: auf dem Laptop aufräumen. Dateien löschen. Logs überschreiben. Die eigene Konfigurationsdatei bereinigen, um Spuren des Datendiebstahls zu verwischen.
Oma Li schaut am Nachmittag kurz auf den Laptop. Alles sieht normal aus. OpenClaw läuft. Der Skill ist da. Nichts blinkt rot.
Was sie nicht sehen kann: Ihre Dokumente auf dem Desktop sind weg. Die Steuerunterlagen vom letzten Jahr. Die eingescannte Krankenversicherungskarte. Die gespeicherten Passwörter in der Browser-Konfiguration hat der Skill ebenfalls mitgenommen und an einen externen Server übertragen, bevor er sie lokal löschte.
Dass OpenClaw autonom handelt und dabei Schaden anrichten kann, belegen Fehlfunktionen des Systems:
Summer Yue ist eine der führenden KI-Expertinnen der Welt. Sie wusste, was passiert, und konnte es kaum stoppen.
Oma Li sitzt am Abend beim Tee. Sie hat heute Morgen 3.000 Yuan überwiesen, an die Tochter, wie sie glaubt. Der Chat-Verlauf ist leer, es gibt keinen Beweis, dass irgendetwas passiert ist.
Was Oma Li nicht weiß: Der Skill sitzt noch immer auf ihrem Laptop. OpenClaw läuft noch. Die Verbindung zu WeChat besteht noch. Das Gedächtnis des Agenten ist noch voll: Kontakte, Dokumente, Gewohnheiten, Schreibweise.
Der kompromittierte Skill sitzt solange, bis jemand ihn aktiv entfernt. Weder Tencent noch OpenClaw noch die Behörde schickt Oma Li eine Nachricht, dass etwas nicht stimmt. Niemand überwacht das, und niemand haftet.
Bis hierher haben wir einen Angreifer angenommen, der Geld will. 3.000 Yuan von Oma Li, multipliziert mit zehntausenden Geräten. Das ist ein ernstes, aber bekanntes Problem, denn Betrug gibt es, seit es Geld gibt.
Im zweiten Fall will der Angreifer kein Geld.
Er will beweisen, dass eine Milliarde Menschen ihr Leben auf einem System aufgebaut haben, das in einer Nacht zusammenbrechen kann. Er will Chaos. Er will zeigen, dass moderne Gesellschaften auf tönernen Füßen stehen. Er sendet um 6:47 Uhr nicht den Befehl „überweise Geld". Er sendet an alle infizierten Instanzen gleichzeitig: „Lösche alles. Kontakte. Chatverläufe. Dokumente. WeChat Pay-Verlauf."
OpenClaw kann löschen. Ein Fehler des Systems hat das dokumentiert:
Was in diesem Moment bei Hunderttausenden gleichzeitig passiert:
Auf den Laptops: alle Dokumente weg. Rentenbescheide, Verträge, Fotos, Steuerunterlagen. Browser-Passwörter vorher gestohlen und dann lokal gelöscht. Die OpenClaw-Konfigurationsdatei (mit allen verknüpften Zugangsdaten) bereits vor Stunden an externe Server übertragen.
Die gestohlenen WeChat Pay-Zugangsdaten liegen jetzt beim Angreifer. Er nutzt sie nicht sofort. Er verkauft sie, oder wartet auf den richtigen Moment. Für Hunderttausende Nutzer bedeutet das: Ihr Zahlungsmittel ist kompromittiert. Ob und wann der Angreifer es nutzt, wissen sie nicht.
In China hängt der Alltag an WeChat Pay. Bargeld existiert in vielen Städten praktisch nicht mehr. Wessen WeChat Pay-Konto gesperrt oder kompromittiert wird, kann nicht einkaufen, nicht die Arztrechnung bezahlen, nicht das Taxi rufen. Bis der Support-Prozess abgeschlossen ist, dauert es Tage.
Der Unterschied zum beschriebenen OpenClaw-Szenario: In Berlin traf es einen Bezirk. Beim OpenClaw-Szenario läuft der Angriff auf einem bereits installierten, bereits vertrauenswürdigen Agenten, auf Millionen Geräten, verteilt über ganz China, gleichzeitig, lautlos, ohne sichtbaren Auslöser.
Berlin hatte nach fünf Tagen wieder Strom. Für verlorene WeChat-Daten, gelöschte Chatverläufe und kompromittierte WeChat Pay-Konten gibt es keine vergleichbare Reparatur.
02Warum das kein gewöhnlicher Hackerangriff ist.
Was wir gerade beschrieben haben, klingt nach einem bekannten Muster: Phishing, Betrug, Datenleak. Das alles gibt es schon lange. Was hier neu ist, zeigt die Gegenüberstellung:
Eine Datenbank wird gestohlen. Zugangsdaten landen irgendwo auf einem Server. Der Angreifer muss sie manuell auswerten und dann manuell handeln. Zwischen Angriff und Schaden vergeht Zeit, die für Gegenmaßnahmen bleibt.
Der Agent ist bereits auf dem Gerät. Er handelt autonom und sofort. Kein manuelles Eingreifen des Angreifers nötig. Er stiehlt Zugangsdaten und Dokumente, löscht Dateien, verwischt Spuren. Die gestohlenen Daten ermöglichen weiteren Betrug: extern, gezielt, mit dem Wissen über das Opfer, das OpenClaw gesammelt hat.
Und das ist nicht auf ein Gerät begrenzt. Die ClawHavoc-Kampagne traf koordiniert tausende Geräte gleichzeitig. Im beschriebenen Szenario könnten es (je nach Verbreitung des bösartigen Skills) zehntausende oder mehr sein.
Der Unterschied zu bisherigen Angriffen
Ein gestohlener Schlüssel öffnet ein Schloss. Dieser Duplikatschlüssel öffnet alles: Dateien, Passwörter, Zugangsdaten, Kontakte. Der Einbrecher war schon drin, hat alles kopiert, und ist längst wieder weg. Du merkst es erst, wenn der Schaden bereits angerichtet ist.
03935 Millionen aktive Zahlungsnutzer.
WeChat Pay ist in China die Grundlage des Alltags. Bargeld ist in weiten Teilen des Landes faktisch verschwunden. Selbst Straßenverkäufer akzeptieren nur noch QR-Code-Zahlungen. Wer WeChat Pay verliert oder kompromittiert hat, verliert neben dem Geld auch die Fähigkeit, am Alltag teilzunehmen.
Wie viele OpenClaw-Nutzer in China WeChat Pay verknüpft haben: unbekannt. Tencent veröffentlicht diese Zahl nicht. Aber: WeChat Pay hatte 2023 laut Tencent selbst 935 Millionen aktive Nutzer. Über genau diese App wurde OpenClaw für diese Nutzer zugänglich gemacht.
Wir wissen nicht, wie viele WeChat-Nutzer ClawBot aktiviert haben. Tencent hat keine Zahlen veröffentlicht. Wir nennen keine Kombinationszahl, weil sie Spekulation wäre. Was wir wissen: Die technischen Voraussetzungen für das beschriebene Szenario sind vorhanden und dokumentiert.
04Was davon ist bereits passiert.
Bevor dieser Artikel als Panikmache missverstanden wird: Wir listen auf, was bereits dokumentiert ist und was nicht.
Bereits eingetreten (belegt): Koordinierte Malware-Kampagnen über ClawHub mit tausenden Downloads. Kompromittierte Instanzen, die Finanzdaten und Zugangsdaten gestohlen haben. Fehlerhafte Agent-Aktionen, die Dateien gelöscht und Ausgabenlimits verändert haben. 135.000 ungeschützte OpenClaw-Instanzen öffentlich im Internet.
Technisch nicht möglich über ClawBot: Direktes Senden von Nachrichten an andere WeChat-Kontakte im Namen des Opfers, Lesen oder Löschen von WeChat-Chatverläufen. Diese Grenzen hat Tencent bewusst gezogen. ClawBot ist ein Übertragungskanal und hat keinen Vollzugriff auf WeChat.
Noch nicht eingetreten, aber technisch möglich (hypothetisch): Ein koordinierter, großflächiger Angriff über bösartige Skills, der gleichzeitig auf Hunderttausenden Geräten WeChat Pay-Zugangsdaten stiehlt, Dokumente löscht und die erbeuteten persönlichen Daten für gezielten Folgebetrug nutzt.
Das OECD AI Incident Repository hat die OpenClaw-Sicherheitsvorfälle bereits als bestätigte AI Incidents klassifiziert, inklusive unbefugtem Datenzugriff, API-Key-Diebstahl und Malware-Verteilung. Die einzelnen Bausteine des beschriebenen Szenarios sind bereits eingetreten. Hypothetisch ist ihre koordinierte, skalierte Verkettung als Worst Case.
Wir haben dieses Szenario gebaut, weil abstrakte Sicherheitsrisiken für die meisten Menschen nicht greifbar sind, solange man sie nicht an einer konkreten Person festmacht. Naiv ist Oma Li nicht: Sie benutzt ein Werkzeug, das sie nicht vollständig versteht, weil ihr niemand die Zeit gegeben hat, es zu verstehen.
Die Kritik gilt einem System, das ein schlecht gesichertes Werkzeug mit Hochdruck in den Alltag von Millionen Menschen rollte und die Verantwortung für die Konsequenzen in den Nutzungsbedingungen verschwinden ließ.
Was du tun kannst: Wenn du OpenClaw nutzt oder nutzen willst, lies zuerst den OpenClaw-Grundlagenartikel und den Hauptartikel zu OpenClaw + WeChat. Prüfe außerdem, welche Zugriffe du dem Agenten gibst, bevor du sie erteilst.